WordPress 4.7 a 7.1.3: corrija a falha RCE
CVE-2026-119977 entrou no KEV da CISA e afeta atualizações completas do WordPress.
Resumo rapido
A CISA incluiu a CVE-2026-119977, falha do WordPress Core, no catálogo KEV em 3 de novembro de 2026. O problema atinge versões de 4.7.0 a 7.1.3 e pode permitir execução de código no servidor durante uma atualização completa. A correção está no WordPress 7.1.4 e em versões corrigidas dos ramos suportados.
Neste artigo voce vai aprender:
- O que a inclusão da CVE-2026-119977 no KEV indica.
- Por que a atualização completa do WordPress é o momento de risco.
- Quais versões do WordPress Core foram citadas como afetadas.
- Quais sinais merecem atenção em sites WordPress.
- Quais ações práticas priorizar agora.
CISA coloca a CVE-2026-119977 na lista de exploração confirmada
Em 3 de novembro de 2026, a CISA adicionou a CVE-2026-119977 ao catálogo Known Exploited Vulnerabilities, o KEV. A falha está no WordPress Core e envolve uma condição de corrida que ocorre durante a atualização completa do sistema. Em termos práticos, um invasor sem nenhuma credencial no site pode tentar agir em um intervalo muito curto, enquanto os arquivos da atualização ainda estão sendo preparados no servidor.
Órgãos civis federais dos Estados Unidos receberam prazo até 6 de novembro de 2026 para aplicar a correção. Empresas fora desse escopo não têm obrigação formal, mas o recado é o mesmo: sites WordPress expostos e desatualizados precisam subir no topo da fila de patch.
A janela de risco está na pasta temporária da atualização
Durante uma atualização completa do WordPress Core, os arquivos extraídos ficam temporariamente em uma pasta previsível dentro de uma área acessível pela web. Quem acertar esse ponto no momento certo consegue alcançar arquivos intermediários, incluindo o caminho relacionado ao setup-config.php, e executar código no servidor sem autenticação.
A vulnerabilidade recebeu a classificação CWE-367, o clássico "verificar antes e usar depois". Traduzindo: o sistema confere uma condição, mas ela muda antes do uso final. A pontuação citada por Wordfence e pelo GitHub Advisory Database é CVSS 8.1, considerada alta, ainda que o alerta inicial do WordPress tenha tratado o caso como baixa severidade e indicado "No known CVE".
Versões afetadas e sinais que pedem investigação
A falha afeta o WordPress Core da versão 4.7.0 até a 7.1.3. Entre os ramos citados estão 7.1.0 a 7.1.3, 7.0.0 a 7.0.7, 6.9.0 a 6.9.10, 6.8.0 a 6.8.11, 6.7.0 a 6.7.10, 6.6.0 a 6.6.10, 6.5.0 a 6.5.13, 6.4.0 a 6.4.13 e versões anteriores até 4.7.38. A lista longa mostra o tamanho do problema: praticamente todo site que ficou para trás em atualizações está na faixa.
Sinais que merecem atenção:
- Site WordPress ainda abaixo da versão 7.1.4 ou sem backport aplicado.
- Histórico recente de atualização completa do Core.
- Arquivos inesperados em pastas de atualização.
- Comportamento estranho após update, como páginas novas, redirecionamentos ou erros incomuns.
Aplicar o WordPress 7.1.4 é a prioridade
A ação principal é aplicar a correção oficial. O ajuste foi lançado no WordPress 7.1.4 e também chegou aos ramos suportados até a série 4.7. Antes de atualizar, faça backup dos arquivos e do banco de dados. Depois, confirme se a versão instalada realmente corresponde a uma versão corrigida — nem sempre o painel reflete o que está em disco.
Vale também revisar os logs do servidor no período das atualizações completas, procurando acessos incomuns aos caminhos temporários de update. Havendo suspeita de exploração, trate o caso como incidente: preserve evidências, revise arquivos alterados e valide todas as contas administrativas.
Checklist prático
- Identifique a versão do WordPress Core e confirme se ela está corrigida.
- Aplique o WordPress 7.1.4 ou o backport de segurança do seu ramo suportado.
- Revise logs, pastas de atualização e arquivos alterados após updates completos.
Perguntas frequentes
Todo site WordPress está vulnerável?
As versões citadas são do WordPress Core 4.7.0 a 7.1.3. Sites já atualizados para o WordPress 7.1.4 ou com os backports de segurança aplicados ficam fora desse grupo.
O ataque exige senha de administrador?
Não. A exploração pode ocorrer sem autenticação, mas depende de acertar uma janela curta durante uma atualização completa do Core.
A falha já tem correção?
Sim. A correção está disponível no WordPress 7.1.4 e foi retroportada para os ramos suportados, incluindo a série 4.7.
Proteja sua empresa com a LC SEC
A LC SEC ajuda sua equipe a priorizar correções, revisar exposição de sites WordPress e investigar sinais de exploração em ambientes críticos.
Conheca: Pentest, Threat Intelligence com IA, Conscientizacao de Seguranca, SGSI, Plano Diretor de Seguranca, Auditoria Interna, Governanca de MFA e Cofre TOTP, ISO 42001 - IA, Diagnostico Gratuito de Seguranca. lcsec.io
Fontes:
https://cybersecurefox.com/en/cve-2026-119977-wordpress-core-rce-cisa-kev/
Compartilhe nas redes sociais:
